Scan ou test d'intrusion

Scan ou test d'intrusion : ce que chacun montre vraiment.

Un scan externe automatique liste ce qui est visible et connu : services exposés sur internet, versions dépassées, identifiants déjà en fuite. Un test d'intrusion va plus loin : une personne essaie réellement d'entrer et vous montre jusqu'où elle arrive. Le scan dit « cette porte a l'air fragile ». Le test dit « je suis entré par là, voici la preuve ». Un scan ne remplace donc pas un test, mais il suffit souvent pour commencer.

Trois choses qu'on appelle « scan », à ne pas confondre

Le mot recouvre trois réalités très différentes. Chez Ryze Cyber, elles portent des noms distincts. Le questionnaire est décrit en détail sur la page le scan gratuit, expliqué.

Prix relevés sur la page d'accueil de Ryze Cyber le 7 octobre 2026. Les montants sont les mêmes en euros.

Que montre un scan externe automatique ?

Un outil interroge vos adresses publiques et note ce qui répond. C'est le principe du balayage de ports, que le glossaire de l'ANSSI définit comme l'envoi de paquets sur les ports d'une machine pour en déduire leur état. À partir de là, le scan compare ce qu'il trouve à des failles déjà connues et publiées.

En pratique, un scan externe fait bien ressortir :

• les services ouverts sur internet qui ne devraient pas l'être ;
• les logiciels dont la version est dépassée ;
• les pages oubliées : ancienne page de test, interface d'administration exposée ;
• les identifiants de votre entreprise déjà présents dans des fuites connues.

Que ne montre-t-il pas ?

Un scan ne raisonne pas. Il ne sait pas enchaîner deux petites faiblesses pour en faire une grande. Il ne comprend pas la logique de votre application. Il ne voit rien de ce qui se trouve derrière une page de connexion, sauf si on lui donne un compte. Trois limites en découlent :

• Les failles de logique lui échappent : un client qui peut voir la facture d'un autre en changeant un numéro dans l'adresse, par exemple.
• Les droits et les comptes ne sont pas vérifiés : mot de passe administrateur réutilisé, droits trop larges, absence de double authentification sur un accès clé.
• Le facteur humain reste hors champ : un faux email convaincant ne se « scanne » pas.

Un scan produit aussi des fausses alertes. Sans tri, une longue liste rassure à tort ou inquiète pour rien. C'est pourquoi un rapport priorisé compte plus que le nombre de lignes.

Un scanner automatique peut-il remplacer un test d'intrusion ?

Non, et l'inverse non plus. Le test d'intrusion fait partie des activités d'audit que l'ANSSI distingue dans son référentiel pour les prestataires d'audit, à côté de l'audit de configuration ou de l'audit de code source (glossaire de l'ANSSI, entrée PASSI). C'est un travail humain : le testeur apporte la preuve qu'une faille est exploitable et montre le scénario.

Les deux se complètent. Le scan est rapide et peut se refaire souvent. Le test est plus rare et plus profond. La page test d'intrusion pour PME détaille son déroulé.

Quand un scan suffit-il, et quand faut-il un test ?

Le scan externe suffit pour un premier état des lieux, ou pour un site vitrine sans espace client ni données sensibles. Passez au test d'intrusion dès que l'une de ces phrases est vraie :

• vos clients se connectent à un espace personnel ou paient en ligne ;
• vous traitez des données sensibles : santé, finances, dossiers clients ;
• un client ou un assureur vous demande une preuve de test (voir assurance et exigences clients) ;
• vous mettez en service une nouvelle application ou un assistant IA branché sur vos données ;
• vous n'avez jamais été testé.

À quelle fréquence ?

À notre connaissance, ni la loi suisse sur la protection des données ni le RGPD ne fixent un nombre de tests par an pour une PME ordinaire. Les deux textes demandent une sécurité adaptée au risque. Le RGPD, lorsqu'il s'applique, demande « une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité » des mesures de sécurité (art. 32).

Un repère simple, celui du scan gratuit de Ryze Cyber : votre site ou vos applications ont-ils été testés depuis moins de 12 mois ? Ajoutez un test après chaque changement important : refonte du site, nouvel espace client, changement d'hébergeur. Entre deux tests, un contrôle régulier des points exposés évite les mauvaises surprises. C'est l'objet de la formule Veille de la Blue Team (contrôle mensuel, CHF 99 ou 99 EUR par mois hors taxes).

Qui corrige les failles trouvées ?

Trouver et corriger sont deux métiers. Le rapport explique chaque faille, sa gravité et sa correction. Ensuite, la correction revient à ceux qui gèrent vos systèmes : votre développeur pour le site, votre prestataire informatique pour les postes et le réseau, votre hébergeur pour le serveur.

Si personne ne peut s'en charger, c'est le rôle de la Blue Team : elle ferme les points faibles un par un, puis vérifie chaque mois qu'ils restent fermés. Voir Red Team et Blue Team.

Questions fréquentes

À lire aussi

Sources

1. ANSSI, CyberDico : définitions « balayage de ports », « vulnérabilité » et référentiel PASSI
2. Règlement (UE) 2016/679 (RGPD), art. 32, EUR-Lex
3. Loi fédérale sur la protection des données (LPD), art. 8, Fedlex
4. Ryze Cyber, formules et prix affichés (relevés le 6 octobre 2026)

Dernière mise à jour : 7 octobre 2026